LastPass هو مدير كلمات مرور freemium يقوم بتخزين كلمات المرور المشفرة في السحابة ، والتي تم تطويرها في الأصل بواسطة شركة Marvasol، Inc.
قام مطورو برنامج إدارة كلمات المرور LastPass ، الذي يستخدمه أكثر من 33 مليون شخص وأكثر من 100.000 ألف شركة، بإخطار المستخدمين بشأن حادثة تمكن فيها المهاجمون من الوصول إلى نسخ احتياطية من وحدة التخزين التي تحتوي على بيانات المستخدمين الخاصة بالخدمة.
تضمنت البيانات معلومات مثل اسم المستخدم والعنوان والبريد الإلكتروني والهاتف وعناوين IP التي تم الوصول إلى الخدمة من خلالها ، بالإضافة إلى أسماء المواقع غير المشفرة المخزنة في مدير كلمات المرور وتسجيلات الدخول وكلمات المرور وبيانات النموذج والملاحظات المشفرة المخزنة على هذه المواقع .
لحماية بيانات تسجيل الدخول وكلمات المرور الخاصة بالموقع ، تم استخدام تشفير AES بمفتاح 256 بت تم إنشاؤه بواسطة دالة PBKDF2 بناءً على كلمة مرور رئيسية لا يعرفها إلا المستخدم، وبحد أدنى 12 حرفًا. تتم عملية تشفير وفك تشفير بيانات تسجيل الدخول وكلمات المرور في LastPass حصريًا من جانب المستخدم، ويُعتبر تخمين كلمة المرور الرئيسية أمرًا غير واقعي على الأجهزة الحديثة، نظرًا لحجم كلمة المرور الرئيسية وعدد مرات تكرار دالة PBKDF2 المُطبقة.
لتنفيذ الهجوم ، استخدموا البيانات التي حصل عليها المهاجمون خلال الهجوم الأخير الذي وقع في أغسطس ونُفذ من خلال اختراق حساب أحد مطوري الخدمة.
أسفر هجوم أغسطس عن تمكن المهاجمين من الوصول إلى بيئة التطوير ، وشفرة التطبيق، والمعلومات التقنية. واتضح لاحقًا أن المهاجمين استخدموا بيانات من بيئة التطوير لاستهداف مطور آخر، ما مكّنهم من الحصول على مفاتيح الوصول إلى التخزين السحابي ومفاتيح فك تشفير البيانات من الحاويات المخزنة هناك. وكانت خوادم التخزين السحابي المخترقة تحتوي على نسخ احتياطية كاملة لبيانات خدمة العامل.
يمثل هذا الكشف تحديثًا هامًا للاختراق الذي أعلنت عنه شركة LastPass في أغسطس. وأقرت الشركة بأن المتسللين "استولوا على أجزاء من شفرة المصدر الخاصة بـ LastPass وبعض المعلومات التقنية السرية". وأكدت الشركة حينها أن كلمات المرور الرئيسية للعملاء، وكلمات المرور المشفرة، والمعلومات الشخصية، وغيرها من البيانات المخزنة في حسابات العملاء لم تتأثر.
256 بت AES ولا يمكن فك تشفيرها إلا باستخدام مفتاح فك تشفير فريد مشتق من كلمة المرور الرئيسية لكل مستخدم باستخدام بنية المعرفة الصفرية الخاصة بنا ، كما أوضح الرئيس التنفيذي لشركة LastPass ، كريم طوبا ، مشيرًا إلى نظام التشفير المتقدم. تشير المعرفة الصفرية إلى أنظمة التخزين التي يستحيل على مزود الخدمة اختراقها. تابع الرئيس التنفيذي:
كما أدرجت العديد من الحلول التي اتخذتها LastPass لتعزيز أمنها بعد الاختراق. تتضمن الخطوات إيقاف تشغيل بيئة التطوير المخترقة وإعادة البناء من نقطة الصفر ، والحفاظ على خدمة الكشف عن نقطة النهاية المُدارة والاستجابة لها ، وتناوب جميع بيانات الاعتماد والشهادات ذات الصلة التي ربما تم اختراقها.
نظرًا لسرية البيانات المخزنة بواسطة LastPass ، فمن المثير للقلق أنه تم الحصول على مثل هذه المجموعة الواسعة من البيانات الشخصية. في حين أن اختراق تجزئة كلمات المرور قد يكون كثيفًا للموارد ، إلا أنه ليس واردًا ، لا سيما بالنظر إلى طريقة المهاجمين وبراعتهم.
ينبغي على عملاء LastPass التأكد من تغيير كلمة المرور الرئيسية وجميع كلمات المرور المخزنة في خزائنهم. كما ينبغي عليهم التأكد من استخدام إعدادات تتجاوز الإعدادات الافتراضية لـ LastPass.
تدافع هذه التكوينات على كلمات المرور المخزنة باستخدام 100100 تكرار لوظيفة اشتقاق المفتاح المستند إلى كلمة المرور (PBKDF2) ، وهو مخطط تجزئة يمكن أن يجعل من المستحيل اختراق كلمات المرور الرئيسية الطويلة والفريدة من نوعها ، والتكرار الذي تم إنشاؤه عشوائيًا وهو 100100 تكراره بشكل محزن تحت عتبة OWASP الموصى بها والبالغة 310،000 التكرارات لـ PBKDF2 بالاشتراك مع خوارزمية تجزئة SHA256 المستخدمة بواسطة LastPass.
ينبغي على عملاء LastPass توخي الحذر من رسائل البريد الإلكتروني والمكالمات الهاتفية الاحتيالية التي تدّعي أنها من LastPass أو خدمات أخرى، والتي تطلب بيانات حساسة، بالإضافة إلى عمليات الاحتيال الأخرى التي تستغل المعلومات الشخصية المخترقة. كما تقدم الشركة إرشادات خاصة لعملاء المؤسسات الذين قاموا بتفعيل خدمة تسجيل الدخول الموحد من LastPass.
وأخيرًا، إذا كنت مهتمًا بمعرفة المزيد، يمكنك العثور على التفاصيل في الرابط التالي.